Accord de traitement des données (DPA)
Dernière mise à jour : 14 octobre 2026
Ce document fixe l’accord de traitement des données conclu, au titre de l’article 28 du RGPD, entre l’agence cliente (responsable de traitement) et l’éditeur de Tolus (sous-traitant). Il est accepté en même temps que les conditions générales.
1. Objet et champ d’application
Périmètre de l’accord et articulation avec les CGU/CGV.
- Parties : le Client (agence, responsable de traitement) et Digitz, 73 Cours Albert Thomas, 69003 Lyon, France, éditeur du service Tolus (sous-traitant).
- Objet : encadrer les traitements de données personnelles réalisés par le sous-traitant pour le compte du Client dans le cadre du service Tolus.
- Articulation : le présent accord complète les CGU/CGV ; en cas de contradiction portant sur le traitement des données personnelles, il prévaut.
- Prise d’effet et acceptation : le présent accord est accepté en même temps que les CGU/CGV, par la case à cocher de l’inscription, et prend effet à la création de l’organisation.
2. Définitions et rôles
Termes du RGPD et qualification des parties.
- Définitions : données personnelles, traitement, responsable de traitement, sous-traitant, sous-traitant ultérieur, personne concernée, violation de données (renvoi à l’article 4 du RGPD).
- Le Client détermine les finalités et les moyens ; le sous-traitant agit sur instruction.
- Cas particulier : les données de compte et de facturation du Client, pour lesquelles l’éditeur est responsable de traitement, sont couvertes par la politique de confidentialité.
3. Description du traitement
Contenu de l’annexe descriptive exigée par l’article 28.
- Nature et finalité : hébergement et mise à disposition d’un outil de gestion de tickets et de suivi de forfaits de maintenance ; envoi d’emails transactionnels aux utilisateurs.
- Aide à la rédaction facultative avec Mistral AI : correction, clarification ou raccourcissement à la demande d’un utilisateur autorisé, avec relecture et application manuelles. Seuls le texte sélectionné, ou le texte du brouillon si rien n’est sélectionné, sont envoyés avec la langue et la consigne de rédaction. Aucun historique de projet ni contenu de pièce jointe n’est chargé automatiquement. Aide à l’import facultative avec Mistral AI : proposition de correspondance d’une feuille de suivi de forfait importée par le Client, validée par le Client avant tout import.
- Catégories de personnes concernées : membres de l’agence et clients finaux invités par l’agence.
- Catégories de données : identité et coordonnées (email, nom), contenus déposés (tickets, commentaires, pièces jointes, notes internes), temps saisi, données de connexion.
- Données sensibles : le service n’est pas conçu pour recevoir des données relevant de l’article 9 du RGPD ; le Client s’interdit d’en déposer.
- Durée du traitement : durée de l’abonnement, puis conservation des données pendant 90 jours après la résiliation avant suppression définitive.
4. Instructions du responsable de traitement
Obligation de ne traiter que sur instruction documentée.
- Les instructions initiales sont constituées par les CGU/CGV, le présent accord et l’usage des fonctionnalités du service par le Client.
- L’utilisation de cette aide n’accorde aucune autorisation d’utiliser les tickets, brouillons ou réponses pour entraîner un modèle. Une autorisation portant sur le site public ne vaut pas autorisation pour les contenus privés.
- Instructions complémentaires : par écrit, par email à hello@tolus.app.
- Le sous-traitant informe le Client si une instruction lui paraît contraire au RGPD ou au droit applicable.
- Traitement imposé par le droit de l’Union ou d’un État membre : information préalable du Client sauf interdiction légale.
5. Confidentialité du personnel
Engagement des personnes habilitées.
- Accès limité aux personnes ayant besoin d’en connaître ; engagement de confidentialité contractuel pour toute personne intervenant sur le service.
- Les personnes habilitées sont informées des règles de confidentialité et de sécurité applicables au service.
6. Sous-traitants ultérieurs
Régime d’autorisation et liste (annexe A).
- Autorisation générale : le Client autorise le recours à des sous-traitants ultérieurs. Tout ajout ou remplacement est annoncé par email au propriétaire au moins 30 jours à l’avance ; le Client peut s’y opposer dans le même délai et résilier son abonnement sans pénalité en cas de désaccord.
- Liste (annexe A) : Contabo GmbH (hébergement, Allemagne), Stripe (paiement, Stripe Payments Europe Ltd, Irlande), Resend (emails transactionnels), Sentry (supervision d’erreurs, uniquement si l’outil est activé sur le service), Mistral AI (France, aide à la rédaction et aide à l’import facultatives).
- La publication de cette liste ne remplace pas le préavis par email prévu pour les Clients déjà engagés.
- Les outils tiers et agents que le Client connecte lui-même au service ne sont pas des sous-traitants ultérieurs de l’éditeur : ils sont choisis et encadrés par le Client. La connexion d’un tel outil vaut instruction documentée du Client de lui transmettre les données auxquelles l’accès délivré donne droit.
- La région d’inférence ne garantit pas l’absence de conservation chez Mistral AI. La conservation des requêtes et réponses dépend des conditions et réglages du service API utilisé, notamment de ses contrôles anti-abus. Tolus ne promet pas une suppression immédiate ni un régime « zéro conservation ».
- Le sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et reste responsable de leur exécution envers le Client.
7. Mesures de sécurité
Mesures techniques et organisationnelles (annexe B), article 32 du RGPD.
- Chiffrement des données en transit (HTTPS). La base de données et ses sauvegardes ne sont pas chiffrées au repos : elles résident sur un serveur dont l’accès est restreint aux personnes habilitées.
- Authentification par mot de passe ou par lien à usage unique et à durée limitée ; limitation de débit sur les envois de liens et les invitations.
- Isolation logique des données par organisation, contrôle d’accès par rôles (propriétaire, administrateur, membre, client).
- Journalisation des accès et des erreurs, conservée 12 mois.
- Sauvegardes : un instantané quotidien de la base de données est conservé 30 jours sur le volume persistant du service. La copie hors serveur et un test de restauration formalisé ne sont pas encore actifs.
- Gestion des vulnérabilités et des mises à jour : application des mises à jour de sécurité du système et des dépendances, sans calendrier contractuel.
- Mesures organisationnelles : habilitations limitées aux personnes intervenant sur le service et revues à chaque changement. Aucune certification ni audit externe n’est revendiqué.
8. Notification de violation de données
Article 33 du RGPD, côté sous-traitant.
- Notification au Client sans délai injustifié et au plus tard 72 heures après en avoir eu connaissance, par email au propriétaire du compte.
- Contenu : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises ou proposées, point de contact.
- Documentation de la violation et coopération avec le Client pour les notifications à l’autorité et aux personnes.
9. Assistance au responsable de traitement
Aide à l’exercice des droits et aux obligations du Client.
- Droits des personnes : les demandes reçues directement sont transmises au Client sans délai injustifié ; l’assistance passe d’abord par les fonctionnalités du service (export, suppression), complétée dans la limite du raisonnable et facturable au-delà.
- Analyses d’impact et consultation préalable de l’autorité : fourniture des informations disponibles, dans la limite du raisonnable et facturable au-delà.
- Sécurité : coopération raisonnable pour permettre au Client de respecter l’article 32.
10. Audits et documentation
Démonstration de la conformité.
- Mise à disposition des informations nécessaires pour démontrer le respect de l’article 28 : description des mesures techniques et organisationnelles du présent accord et réponses écrites aux questions du Client.
- Audits : 1 audit par an au maximum, sur préavis de 30 jours, sur documentation écrite et aux frais du Client.
11. Transferts internationaux
Localisation et garanties.
- Localisation de l’hébergement : Allemagne (Union européenne), chez Contabo GmbH.
- Resend peut traiter des données hors Union européenne ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. L’aide à la rédaction utilise le point d’accès européen de Mistral AI (api.eu.mistral.ai), avec une inférence dans l’Union européenne ou l’AELE. Ce choix ne garantit pas la localisation des données de compte, de facturation et des autres métadonnées techniques du fournisseur. Les éventuels transferts de Mistral AI hors des pays reconnus adéquats relèvent des garanties prévues par son accord de traitement des données, notamment les clauses contractuelles types.
12. Suppression et restitution des données
Fin du traitement, article 28.3.g du RGPD.
- Restitution : export complet des données de l’organisation (JSON et CSV) en libre-service, à l’initiative du propriétaire, disponible pendant les 90 jours qui suivent la fin de l’abonnement.
- Suppression : automatique 90 jours après la résiliation, y compris dans les sauvegardes au terme de leur rotation de 30 jours.
- Attestation de suppression : fournie sur demande écrite du Client.
- Conservation résiduelle imposée par la loi : données de facturation conservées 10 ans au titre des obligations comptables.
13. Durée et résiliation
Alignement sur le contrat principal.
- Le présent accord dure aussi longtemps que le sous-traitant traite des données pour le compte du Client.
- En cas de manquement du sous-traitant à ses obligations, le Client peut résilier son abonnement sans pénalité, après mise en demeure par email restée sans effet pendant 15 jours.
14. Droit applicable et juridiction compétente
Règlement des litiges.
- Droit français, tribunaux de Lyon, en cohérence avec les CGU/CGV.
15. Annexes
Les annexes exigées par l’article 28 sont intégrées au corps du présent accord.
- Annexe A, liste des sous-traitants ultérieurs : section Sous-traitants ultérieurs.
- Annexe B, mesures techniques et organisationnelles : section Mesures de sécurité.
- Annexe C, description du traitement : section Description du traitement.